2025 年 11 月：本文已更新，以反映最新的赏金支付方案。最高奖励金额已从 $10,000 提升至 $100,000。

与 Proton Mail 一样，我们在构建 Proton VPN 时始终以安全为重。今天，我们正式启动漏洞赏金计划，以进一步加强 Proton VPN 的安全性。

在运营 VPN 服务时，需要保障的不仅是 VPN 连接和协议本身的安全。底层服务器基础设施、网页和仪表板、VPN 应用本身、支付系统以及用户数据库同样需要安全保障。要妥善保护用户隐私，我们必须保护服务的各个方面免遭泄露。

在构建 Proton VPN 的过程中，我们借鉴了在运营全球最大的安全电子邮件服务（新窗口）时积累的安全专业知识。我们还与 Proton Mail 安全贡献者（新窗口）以及更广泛的社区携手，共同强化 Proton VPN 的各个方面。近期，我们与长期担任 Proton Mail 安全贡献者的 Mazin Ahmed（新窗口） 合作，完成了对 Proton VPN 的全面安全审计，并追加了额外的加固措施。

我们的漏洞赏金计划让我们得以将日常保护 Proton VPN 用户的工作进一步延伸。正因如此，在 Proton VPN 正式上线之际，我们最先着手的事情之一，就是启动 Proton VPN 漏洞赏金计划。通过该计划，我们邀请来自世界各地的安全专家尝试找出 Proton VPN 中的薄弱环节，并会为通过该计划报告给我们的安全问题支付奖励（赏金）。如果您是安全研究人员，也可以参与 Proton Mail 漏洞赏金计划（新窗口）。

Proton VPN 漏洞赏金计划

规则

范围：本计划仅限 Proton VPN 运营的服务器，以及网络、桌面和移动端应用。我们在 Facebook、Twitter、Linkedin、Eventbrite 等平台上的主页不在受理范围内。符合条件的网站包括：

  • protonvpn.com
  • account.protonvpn.com
  • api.protonvpn.ch [注意：是 .ch 而非 .com]

Windows、MacOS、Linux、iOS 和 Android 版 Proton VPN 应用也包含在本计划范围内。

评审：负责评定奖励的评审小组由 Proton VPN 和 Proton Mail 的开发者组成，并由我们安全群组中一名或多名外部专家协助。计划参与者同意尊重评审小组作出的最终决定。

负责任的披露：我们请求将所有漏洞报告至 security@proton.me。我们认为，为修复漏洞以外的目的向第三方披露漏洞，有违本计划的初衷。参与者同意在漏洞修复完成之前不对外披露所发现的问题，并通过我们的版本说明与团队协调披露事宜，以免造成混淆。

负责任的测试： 请勿入侵用户帐户、破坏数据库，或泄露可能属于敏感信息的数据。我们也不鼓励会降低用户服务质量的漏洞测试。如有疑问，欢迎通过 security@proton.me 联系我们的安全团队。

遵守规则：参与本计划即表示您同意遵守上述规则与条件。只有遵守全部规则，才有资格获得奖励。

符合条件的漏洞

任何严重影响用户数据保密性或完整性的设计或实现问题，都可能属于本计划的受理范围。包括但不限于：

网络应用

  • 跨站脚本
  • 跨站请求伪造
  • 混合内容脚本
  • 身份验证或授权缺陷
  • 服务器端代码执行问题
  • REST API 漏洞

服务器

  • 未经授权的 shell 访问
  • 权限提升
  • 远程代码执行

应用

  • 身份验证或授权缺陷
  • 本地数据安全泄露（无需 root）

我们坚信应与安全研究人员紧密合作，并愿意与选定的研究人员分享 API 规范、源代码或基础设施详细信息等技术细节，以提升所有 Proton Mail 用户的安全性。如需了解更多详情，请联系 security@proton.me。

符合条件的改进建议

有时，不属于上述任何类别的改进建议也会获得赏金。这由我们的团队根据具体情况逐一判定。此类情况包括：

  • 服务器配置改进
  • 防火墙配置
  • 改进的 DoS/DDoS 防护措施
  • 路径/信息泄露

不符合条件的漏洞

  • 影响过时浏览器的缺陷（抱歉，IE6 的安全问题不在受理范围内）
  • 超出 Proton VPN 威胁模型范围的安全问题
  • 网络钓鱼（新窗口）或社会工程攻击
  • 需要极不可能发生的用户交互才能触发的问题
  • WordPress 的问题（但请将其报告给 WordPress）
  • 过时的软件—— 出于各种原因，我们并非总是运行最新的软件版本，但我们运行的软件都已安装完整补丁
  • OpenVPN 或 IKEv2 中的软件问题（但请向其作者报告）

奖励金额

我们支付的赏金金额根据具体情况逐一确定，主要取决于问题的严重程度。要获得赏金，通常需要第一个报告问题，不过有时也会破例。以下是大致的赏金标准：

  • 最高奖励：100,000 美元。
  • 极严重级别：25,000 – 50,000 美元——发现可完全且持续地未经授权控制服务环境，或在无需特殊条件或事先访问权限的情况下泄露所有用户数据机密性或完整性的漏洞。
  • 高严重级别：2,500 – 25,000 美元——发现可导致持续未经授权控制服务环境大部分区域，或严重违反广大用户群体数据机密性或完整性的漏洞——同样无需特殊条件或事先访问权限，但仍未达到完全攻破服务的程度。
  • 中严重级别：1,000 – 2,500 美元——发现可未经授权控制部分服务环境的漏洞，或泄露单个用户或小群组用户数据的完整性或机密性。此外，影响范围更广、需要大量用户交互或特定条件，但仍会导致敏感数据或控制权暴露的漏洞也属于此级别。
  • 低严重级别：视具体情况而定，默认不提供金钱奖励——发现影响有限或触发条件极不可能的漏洞。

报告指南

请将问题报告至 security@proton.me。报告问题时，请提供清晰的复现步骤和/或概念验证。

恭祝时祺
Proton 团队